RAGAM – Dampak penemuan dua celah keamanan kritis pada bahasa pemrograman PHP mulai dirasakan berbagai layanan digital di dunia.
Sejumlah website pemerintahan, platform teknologi, hingga layanan pendukung Wikimedia terpaksa dinonaktifkan sementara sebagai langkah pencegahan terhadap potensi serangan siber.
Kerentanan yang dikenal dengan nama PHP2Shell tersebut memicu peringatan keamanan global setelah peneliti menemukan bahwa celah itu dapat dimanfaatkan peretas untuk menjalankan kode berbahaya dari jarak jauh tanpa perlu memiliki akun maupun kata sandi.
Berdasarkan laporan Reuters dan BBC yang diberitakan detikINET pada Kamis (22/10/2026), sejumlah organisasi di Eropa, Asia, dan wilayah lainnya mengambil langkah darurat dengan membatasi akses layanan digital mereka.
Langkah tersebut dilakukan untuk memberikan waktu kepada pengelola sistem memasang pembaruan keamanan sekaligus memastikan infrastruktur mereka tidak dapat dieksploitasi.
Di antara layanan yang terdampak tindakan pencegahan tersebut adalah sejumlah situs pemerintah di Finlandia, Belanda, dan Inggris.
Beberapa layanan digital di Jepang juga sempat ditangguhkan, termasuk layanan milik lembaga keuangan dan pemerintah, sebelum penerapan pembaruan keamanan.
Penghentian sementara tersebut bukan berarti seluruh layanan telah diretas.
Sebagian besar langkah yang dilaporkan merupakan tindakan pencegahan untuk menghindari kemungkinan penyusupan.
Wikimedia Foundation, organisasi yang menaungi Wikipedia, turut mengambil langkah pengamanan setelah muncul peringatan mengenai PHP2Shell.
Melalui pengumuman resmi pada Rabu (21/10/2026), Wikimedia menyatakan sejumlah layanan pendukungnya sengaja dinonaktifkan hingga dapat dipastikan aman.
Layanan tersebut mencakup Toolforge dan Cloud VPS yang digunakan komunitas pengembang untuk menjalankan berbagai aplikasi pendukung proyek Wikimedia.
Selain itu, layanan pengembangan seperti Phabricator, dokumentasi teknis, dan sejumlah sistem integrasi perangkat lunak turut terdampak penghentian sementara.
Wikimedia menjelaskan bahwa keputusan tersebut diperlukan karena sebagian layanan dikelola oleh pengembang sukarela sehingga pembaruan keamanan tidak dapat diterapkan secara serentak.
“We will bring WMCS back online once we can ensure it is in a secure state,” demikian pernyataan Wikimedia Foundation melalui situs resminya.
Pernyataan tersebut menjelaskan bahwa layanan Wikimedia Cloud Services (WMCS) baru akan diaktifkan kembali setelah kondisi keamanannya dapat dipastikan.
Wikimedia juga berupaya menjaga agar website utama Wikipedia tetap dapat diakses, meskipun sejumlah layanan pendukung harus dihentikan sementara.
Kerentanan PHP2Shell menjadi perhatian karena celah tersebut berada pada komponen inti PHP yang digunakan untuk menjalankan berbagai aplikasi berbasis web.
Menurut perusahaan infrastruktur internet Cloudflare, PHP digunakan oleh hampir 70 persen website di dunia, termasuk berbagai sistem pengelolaan konten dan perdagangan elektronik.
Dalam kondisi tertentu, penyerang dapat mengirimkan permintaan khusus ke server yang rentan untuk memicu kesalahan pengelolaan memori.
Jika eksploitasi berhasil, penyerang berpotensi menjalankan perintah dengan hak akses proses PHP yang terdampak.
Kondisi tersebut dapat membahayakan keamanan website, mulai dari gangguan operasional, perubahan konten tanpa izin, pemasangan program berbahaya, hingga akses tidak sah terhadap informasi sensitif yang dapat dijangkau oleh proses tersebut.
Data pelanggan, informasi akun, maupun database berpotensi terpapar apabila konfigurasi dan hak akses server memungkinkan penyerang menjangkaunya.
Namun, keberadaan celah keamanan tidak otomatis berarti seluruh website berbasis PHP telah mengalami kebocoran data.
Hingga kini, jumlah website yang benar-benar berhasil dibobol melalui PHP2Shell belum dapat dipastikan hanya berdasarkan laporan percobaan eksploitasi.
Ancaman PHP2Shell juga menjadi perhatian di Indonesia karena banyak website pemerintahan, perusahaan, sekolah, kampus, hingga portal berita menggunakan PHP sebagai teknologi utama.
Pakar keamanan siber dari Vaksincom, Alfons Tanujaya, menilai kerentanan tersebut perlu ditangani secara serius, tetapi masyarakat tidak perlu menafsirkannya sebagai kehancuran internet secara keseluruhan.
“Ini sangat serius tapi tidak sampai levelnya membuat krisis internet. Itu terlalu berlebihan,” ujar Alfons, sebagaimana dikutip dari wawancaranya dengan detikINET, Kamis (22/10/2026).
Menurut Alfons, salah satu tantangan di Indonesia adalah masih ditemukannya server yang menggunakan PHP versi lama dan tidak lagi memperoleh dukungan keamanan resmi.
Kondisi tersebut dapat menyulitkan administrator karena pembaruan tidak selalu tersedia secara langsung untuk sistem yang telah melewati masa dukungan.
Ia juga mengingatkan adanya kesalahpahaman di kalangan pengelola website yang menganggap sistemnya aman hanya karena aplikasi WordPress dan seluruh plugin telah diperbarui.
Padahal, PHP2Shell merupakan kerentanan pada PHP yang dijalankan server, bukan pada plugin atau tema website.
Artinya, website WordPress maupun aplikasi Laravel yang menggunakan versi PHP rentan tetap berpotensi menjadi sasaran meskipun kode aplikasi dan plugin telah diperbarui.
Pusat Keamanan Siber Nasional Inggris atau National Cyber Security Centre (NCSC) turut meminta organisasi yang menggunakan PHP segera mengambil tindakan pengamanan.
Lembaga tersebut menyarankan pengelola sistem mengidentifikasi seluruh instalasi PHP, memprioritaskan website yang dapat diakses publik, dan segera memasang pembaruan resmi.
Jika perbaikan tidak dapat dilakukan dalam waktu dekat dan perlindungan sementara tidak memadai, pengelola disarankan mempertimbangkan penghentian akses sementara hingga sistem dinyatakan aman.
Pakar keamanan siber Indonesia juga memberikan saran serupa, khususnya bagi administrator yang masih menggunakan sistem lama dan belum dapat melakukan migrasi.
“Batasi aksesnya dengan VPN atau whitelist IP atau matikan sementara,” ujar Alfons kepada detikINET.
Pengembang PHP sendiri telah merilis pembaruan keamanan darurat pada Rabu (21/10/2026), yakni PHP 8.2.35, PHP 8.3.36, PHP 8.4.27, dan PHP 8.5.12.
Keempat versi tersebut memuat perbaikan untuk dua kerentanan kritis yang diidentifikasi sebagai CVE-2026-109618 dan CVE-2026-109619.
Sementara itu, pengguna PHP 8.1 dan versi lebih lama disarankan bermigrasi ke versi yang masih didukung atau memastikan tersedianya perbaikan keamanan dari penyedia sistem operasi maupun layanan dukungan jangka panjang.
Pengelola layanan shared hosting juga diingatkan untuk memastikan penyedia hosting telah menerapkan pembaruan keamanan pada lingkungan server mereka.
Di tengah peringatan keamanan global tersebut, The PHP Foundation mengakui bahwa indikasi awal salah satu kelemahan pengelolaan memori telah ditemukan sejak 2024.
Namun, perbaikan sempat mengalami hambatan karena pengembang harus mempertimbangkan dampaknya terhadap kompatibilitas, performa, dan berbagai ekstensi yang digunakan dalam ekosistem PHP.
Dalam pernyataan resminya pada Rabu (21/10/2026), The PHP Foundation mengakui adanya kelemahan dalam proses penanganan keamanan internal.
“We won’t pretend otherwise: the delay was a structural failure,” tulis The PHP Foundation.
Pernyataan tersebut merupakan pengakuan bahwa keterlambatan penanganan menjadi persoalan struktural dalam mekanisme pengambilan keputusan dan keterbatasan sumber daya tim keamanan.
Organisasi tersebut menyatakan telah melakukan perubahan pada proses penanganan laporan kerentanan, termasuk memperkuat tim dan koordinasi dengan peneliti keamanan.
Penemuan PHP2Shell juga melibatkan bantuan teknologi kecerdasan buatan atau artificial intelligence (AI), yang digunakan para peneliti untuk mengidentifikasi jalur eksploitasi dan membuktikan tingkat bahayanya.
Meski pembaruan kini telah tersedia, risiko serangan tetap menjadi perhatian selama masih terdapat server yang menggunakan versi PHP rentan.
Karena itu, pengelola website diminta tidak hanya memasang pembaruan, tetapi juga memeriksa log aktivitas server dan kemungkinan adanya akses tidak sah yang terjadi sebelum perbaikan diterapkan.
Di Indonesia, kewaspadaan tersebut menjadi penting mengingat berbagai layanan publik dan aktivitas ekonomi digital bergantung pada website serta aplikasi berbasis PHP.
